GDPR：《通用數據保護條例》General Data Protection Regulation，簡稱GDPR，為歐洲聯盟的條例，前身是歐盟在1995年制定的《計算機數據保護法》。2018年5月25日，歐洲聯盟出臺《通用數據保護條例》。

自2013年以來，在Nasdag網站一直在探索和測試區塊鏈技術的可能用途。我們堅信，它有可能提高整個金融服務業和其他部門的效率、可靠性和透明度。它是否能很好地實現這一潛力，取決于它能否按照GDPR賦予個人新的隱私權和其他權利來運作。

雖然GDPR和區塊鏈在保護數據處理中的完整性和問責制方面有著類似的基本承諾，但也有人對GDPR的具體要求能否與區塊鏈的運作方式相一致表示關切。例如，GDPR的核心要求，如數據最小化、對國際轉讓的限制和個人的擦除權利（即“被遺忘的權利”）是否與區塊鏈對不可變的、分布式的分類賬的依賴相協調？

鑒于違反GDPR的后果（例如最高每年營業額的4%罰款、有可能的訴訟和聲譽損害），金融服務和其他行業正在尋求保證，確保GDPR的要求和區塊鏈的核心業務職能不會遭到不可調和的反對。法國數據保護當局的初步指導和報告開始討論如何根據GDPR兼容實施區塊鏈解決方案。這些數據保護組織包括全國信息自由委員會（CNIL）、歐盟區塊鏈觀測站和Forum（區塊鏈Forum，是BBS的一種，是基于BBS技術的可以通過WEB頁面訪問的站點。）。

迄今為止，歐洲數據保護委員會（EDPB）和國家數據保護當局（CNIL除外）都沒有發布關于如何按照GDPR實施區塊鏈的正式指南。CNIL（《在個人數據背景下負責任地使用區塊鏈個人數據的解決方案》）和區塊鏈論壇（《區塊鏈和GDPR》）的最近出版物代表了他們已經在這一問題上給出了第一個具體的答案。重要的是，這些出版物反映了監管機構和思想領袖不斷承諾參與制定一個可行的框架，將區塊鏈技術應用于個人數據處理。這些出版物和其他在這一領域開始規劃的關鍵項目，符合GDPR的區塊鏈實現在金融服務領域將需要合并。這些措施包括：

將單個實體標識為數據“控制器”，由所有其他參與者和解決方案提供者作為數據“處理器”。根據GDPR，個人數據控制器負有第一線合規責任。在區塊鏈模型中，特別是在幾個實體共同利用區塊鏈的情況下，可以讓多個當事方充當數據控制器，從而增加了聯合控制器的潛在復雜情況。為了避免這種情況，實體應該創建一個新的特殊目的實體，或者以合同方式標識單個控制器。使用區塊鏈的其他實體和驗證條目的礦工將成為控制器合同下的處理器。

在可能的情況下，避免將個人數據存儲在區塊鏈上，如果需要存儲，請盡量減少個人數據，并采用強散列或加密措施。區塊鏈的核心用途是證明發生了事務或記錄是有效的。如果交易或記錄涉及自然人，則不可避免地涉及個人資料。然而，這樣的個人數據通常不需要存儲在區塊鏈上，相反，條目可以提供記錄本身存儲在區塊鏈之外的證據。這種方法有助于滿足GDPR下的數據最小化和安全性要求。

使用以私人和許可為基礎的區塊鏈，以合約方式解決GDPR的國際轉讓要求：GDPR對EEA以外的數據傳輸施加限制，個人數據只能轉讓給為數據提供充分保護的實體，或者受具有約束力的公司，再或者是受到示范合約條款約束的實體，以保護數據。這些要求不符合公共和無權限的區塊鏈網絡（在這種情況下，數據位置不能被限制）。因此，解決方案應該利用私有和基于許可的區塊鏈，在這種情況下，每個參與者都同意某些國際轉讓條款來交換信息。主要挑戰是在確保個人數據主體權利的情況下，如何以符合GDPR的方式實現區塊鏈解決方案的細節，最大的挑戰是任何解決方案如何能夠滿足GDPR規定的所有數據主體權利。

GDPR提供的某些個人權利，例如個人數據處理的可移植性、訪問權和統計權，可以很容易地通過區塊鏈技術加以解決，事實上，還可以發揮其優勢。其他權利，如限制權，可以內置在解決方案的編程方式中，反對自動決策的權利可以通過業務流程來解決。

然而，由于區塊鏈技術是由持久、去中心化的記錄構成的，因此有效地確保GDPR賦予個人的擦除權和糾正權是一項重大的合規挑戰。如CNIL報告所述，當數據被記錄為承諾、散列或加密時，控制器可以“接近”這些權利，使其無法在功能上實現擦除，為進行糾正，控制器將無法訪問的記錄與新塊中的替換、校正條目結合起來。這些機制是否在法律上等同于GDPR提供的充分權利尚不確定，需要進一步分析，并最終由EDPB加以解決。

這是一個重要的第一步，但還需要更多，正如區塊鏈論壇指出的那樣：“這里不存在符合GDPR的區塊鏈技術，只有符合GDPR的用例和應用程序。”處理個人數據的任何技術也是如此，在區塊鏈的背景下提出的許多安全、透明度和數據主體權利等問題都面臨著其他類型的現有技術挑戰。與傳統技術相比，區塊鏈的獨特之處在于它的新穎性，雖然區塊鏈具有巨大的上行潛力，但要實現這一點，公司需要大量的投資和意愿。在如何開發滿足GDPR要求的區塊鏈解決方案方面仍然存在不確定性，即使是創新的公司也可能不愿意采取這些步驟。

CNIL和區塊鏈論壇的工作是消除這種不確定性的重要的第一步。我們同意區塊鏈論壇的觀點，認為下一步的一個重要步驟將是提高對潛在區塊鏈用例的理解，進一步研究某些GDPR要求可能對這些用途產生的影響。

然后，這種理解將有助于推動環境保護委員會、國家監管機構、隱私倡導者、行業、技術創新者和其他利益攸關方之間的有效對話，以形成共識，需要對區塊鏈采取切實可行的全面監管辦法，保護GDPR所包含的重要權利和利益，同時使其能夠帶來積極的利益。